Kerentanan kritis parantos diidentifikasi dina Git (CVE-2021-29468), anu ngan ukur muncul nalika ngawangun lingkungan Cygwin (perpustakaan pikeun niru API Linux dasar dina Windows sareng sakumpulan program Linux standar pikeun Windows). Kerentanan ngamungkinkeun kode panyerang dieksekusi nalika nyandak data ("git checkout") tina gudang anu dikontrol ku panyerang. Masalahna dibereskeun dina pakét git 2.31.1-2 pikeun Cygwin. Dina proyék Git utama, masalahna henteu acan dibenerkeun (teu mungkin aya anu ngawangun git pikeun Cygwin nganggo pananganna sorangan, tinimbang nganggo pakét anu siap-siap).
Kerentanan disababkeun ku Cygwin ngolah lingkungan salaku sistem Unix-kawas tinimbang Windows, nu ngakibatkeun euweuh larangan dina pamakéan karakter '\' dina jalur, sedengkeun di Cygwin, kawas dina Windows, karakter ieu bisa jadi. dipaké pikeun misahkeun diréktori. Hasilna, ku nyiptakeun gudang anu dirobih khusus anu ngandung tautan simbolis sareng file kalayan karakter backslash, anjeun tiasa nimpa file sawenang nalika ngamuat gudang ieu kana Cygwin (kerentanan anu sami dibenerkeun dina Git pikeun Windows taun 2019). Ku kéngingkeun kamampuan nimpa file, panyerang tiasa nimpa sauran hook dina git sareng nyababkeun kode sawenang-wenang dieksekusi dina sistem.
sumber: opennet.ru